Gateway

柔光的暖阳◎ 2022-10-13 10:28 115阅读 0赞

### Gateway ###

`Gateway` 描述了在网格边缘运行的负载均衡器，接收传入或传出的 `HTTP/TCP` 连接。其中描述了一组应该公开的端口、要使用的协议类型、负载均衡器的 SNI 配置等。

下面的示例中，`Gateway` 设置了一个代理作为负载均衡器，以暴露端口 80 和 9080（http）、443（https）、9443（https）、2379（TCP）方便外部访问。该网关将被应用于在带有标签 `app: my-gateway-controller` 的 `Pod` 上运行的代理。

apiVersion: networking.istio.io/v1alpha3
    kind: Gateway
    metadata:
      name: my-gateway
      namespace: some-config-namespace
    spec:
      selector:
        app: my-gateway-controller
      servers:
      - port:
          number: 80
          name: http
          protocol: HTTP
        hosts:
        - uk.bookinfo.com
        - eu.bookinfo.com
        tls:
          httpsRedirect: true # sends 301 redirect for http requests
      - port:
          number: 443
          name: https-443
          protocol: HTTPS
        hosts:
        - uk.bookinfo.com
        - eu.bookinfo.com
        tls:
          mode: SIMPLE              # enables HTTPS on this port
          serverCertificate: /etc/certs/servercert.pem
          privateKey: /etc/certs/privatekey.pem
      - port:
          number: 9443
          name: https-9443
          protocol: HTTPS
        hosts:
        - "bookinfo-namespace/*.bookinfo.com"
        tls:
          mode: SIMPLE              # enables HTTPS on this port
          credentialName: bookinfo-secret               # fetches certs from Kubernetes secret
      - port:
          number: 9080
          name: http-wildcard
          protocol: HTTP
        hosts:
        - "*"
      - port:
          number: 2379 # to expose internal service via external port 2379
          name: mongo
          protocol: MONGO
        hosts:
        - "*"

上面的 `Gateway` 描述了 负载均衡器的 L4-L6 属性，`VirtualService` 可以绑定到 `Gateway`，以控制到达特定主机或网关端口的流量的转发。

下面的示例中，`VirtualService` 将 `https://uk.bookinfo.com/reviews`，`https://eu.bookinfo.com/reviews`， `http://uk.bookinfo.com:9080/reviews`，`http://eu.bookinfo.com:9080/reviews` 的流量分到两个版本（`prod` 和 `qa`）的 `reviews` 服务的 9080 端口上。另外，包含 cookie `user: dev-123` 的请求将在 `qa` 版本中被发送到特定的端口 7777。同样的规则也适用于网格中的 `reviews.prod.svc.cluster.local` 服务的请求。此规则适用于端口443、9080。注意，`http://uk.bookinfo.com` 被重定向到 `https://uk.bookinfo.com`（即 80 重定向到 443）。

apiVersion: networking.istio.io/v1alpha3
    kind: VirtualService
    metadata:
      name: bookinfo-rule
      namespace: bookinfo-namespace
    spec:
      hosts:
      - reviews.prod.svc.cluster.local
      - uk.bookinfo.com
      - eu.bookinfo.com
      gateways:
      - some-config-namespace/my-gateway
      - mesh                # applies to all the sidecars in the mesh
      http:
      - match:
        - headers:
            cookie:
              exact: "user=dev-123"
        route:
        - destination:
            port:
              number: 7777
            host: reviews.qa.svc.cluster.local
      - match:
        - uri:
            prefix: /reviews/
        route:
        - destination:
            port:
              number: 9080 # can be omitted if it's the only port for reviews
            host: reviews.prod.svc.cluster.local
          weight: 80
        - destination:
            host: reviews.qa.svc.cluster.local
          weight: 20

下面的示例中，`VirtualService` 将到达外部端口 27017 的流量转发到端口 5555 上的内部 Mongo 服务器。由于网关列表省略了保留名称 `mesh`，因此该规则在网格内部不适用。

apiVersion: networking.istio.io/v1alpha3
    kind: VirtualService
    metadata:
      name: bookinfo-Mongo
      namespace: bookinfo-namespace
    spec:
      hosts:
      - mongosvr.prod.svc.cluster.local             # name of internal Mongo service
      gateways:
      - some-config-namespace/my-gateway                # can omit the namespace if gateway is in same namespace as virtual service.
      tcp:
      - match:
        - port: 27017
        route:
        - destination:
            host: mongo.prod.svc.cluster.local
            port:
              number: 5555

`Gateway` 可以使用 `hosts` 字段中的 `namespace/hostname` 来限制绑定到 `Gateway` 的 `VirtualService`。下面的示例中，`Gateway` 允许 ns1 命名空间中的任何 `VirtualService` 绑定它，而仅允许 ns2 命名空间中带 `foo.bar.com` 主机的 `VirtualService` 绑定到它。

--------------------

### Gateway ###

`Gateway` 描述了负载均衡器，该负载均衡器在网格的边缘运行，以接收传入或传出的 `HTTP/TCP` 连接。

<table> 
 <thead> 
  <tr> 
   <th>字段</th> 
   <th>类型</th> 
   <th>描述</th> 
   <th>是否必需</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td><code>servers</code></td> 
   <td><code>Server[]</code></td> 
   <td>server 参数列表</td> 
   <td>是</td> 
  </tr> 
  <tr> 
   <td><code>selector</code></td> 
   <td><code>map&lt;string, string&gt;</code></td> 
   <td>一个或多个标签，指定在其上应用该网关配置的一组特定的 <code>Pod</code>/<code>VM</code>。标签搜索的范围仅限于存在资源的配置命名空间，即网关必须与网关工作负载实例位于相同的名称空间中</td> 
   <td>是</td> 
  </tr> 
 </tbody> 
</table>

--------------------

### Port ###

`Port` 描述了服务特定端口的属性。

<table> 
 <thead> 
  <tr> 
   <th>字段</th> 
   <th>类型</th> 
   <th>描述</th> 
   <th>是否必需</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td><code>number</code></td> 
   <td><code>uint32</code></td> 
   <td>有效的非负整数端口号</td> 
   <td>是</td> 
  </tr> 
  <tr> 
   <td><code>protocol</code></td> 
   <td><code>string</code></td> 
   <td>端口上公开的协议，必须是 <code>HTTP | HTTPS | GRPC | HTTP2 | MONGO | TCP | TLS</code> 中的一种。TLS 意味着连接将基于 SNI 报头路由到目的地，而不会终止 TLS 连接</td> 
   <td>是</td> 
  </tr> 
  <tr> 
   <td><code>name</code></td> 
   <td><code>string</code></td> 
   <td>端口的标签</td> 
   <td>否</td> 
  </tr> 
 </tbody> 
</table>

--------------------

### Server ###

`Server` 描述了给定负载均衡器端口上的代理的属性。示例如下：

apiVersion: networking.istio.io/v1alpha3
    kind: Gateway
    metadata:
      name: my-ingress
    spec:
      selector:
        app: my-ingress-gateway
      servers:
      - port:
          number: 80
          name: http2
          protocol: HTTP2
        hosts:
        - "*"

另一个示例：

apiVersion: networking.istio.io/v1alpha3
    kind: Gateway
    metadata:
      name: my-tcp-ingress
    spec:
      selector:
        app: my-tcp-ingress-gateway
      servers:
      - port:
          number: 27018
          name: mongo
          protocol: MONGO
        hosts:
        - "*"

443 端口 的 TLS 配置示例：

apiVersion: networking.istio.io/v1alpha3
    kind: Gateway
    metadata:
      name: my-tls-ingress
    spec:
      selector:
        app: my-tls-ingress-gateway
      servers:
      - port:
          number: 443
          name: https
          protocol: HTTPS
        hosts:
        - "*"
        tls:
          mode: SIMPLE
          serverCertificate: /etc/certs/server.pem
          privateKey: /etc/certs/privatekey.pem

<table> 
 <thead> 
  <tr> 
   <th>字段</th> 
   <th>类型</th> 
   <th>描述</th> 
   <th>是否必需</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td><code>port</code></td> 
   <td><code>Port</code></td> 
   <td>代理侦听传入连接的端口</td> 
   <td>是</td> 
  </tr> 
  <tr> 
   <td><code>hosts</code></td> 
   <td><code>string[]</code></td> 
   <td>此网关暴露的一个或多个主机。虽然它通常适用于 HTTP 服务，但也可以将其与 TLS 和 SNI 一起用于 TCP 服务。主机指定为带有可选 <code>namespace/</code> 前缀的 <code>dnsName</code>。<code>dnsName</code> 应该使用 FQDN 格式指定，可以在最左边的部分中包含一个通配符（如 <code>prod/*.example.com</code>）。<code>dnsName</code> 设置为 <code>*</code> 从指定的命名空间（如 <code>prod/*</code>）中选择所有的 <code>VirtualService</code> 主机。<code>namespace</code> 可以设置为 <code>*</code> 或<code>.</code>，分别表示任一或当前的命名空间。例如，<code>*/foo.example.com</code> 从任何可用的命名空间中选择服务，而 <code>./foo.example.com</code> 仅从 <code>sidecar</code> 的命名空间中选择服务。如果未指定 <code>namespace/</code>，则默认值为 <code>*/</code>，即从任何命名空间中选择服务。所选命名空间中任何关联的 <code>DestinationRule</code> 也将被使用。<code>VirtualService</code> 必须绑定到网关，并且必须具有一个或多个与服务器中指定的主机匹配的主机。匹配可以是完全匹配，也可以是与服务器主机的后缀匹配。例如，如果服务器的主机指定 <code>*.example.com</code>，则带有主机 <code>dev.example.com</code>或 <code>prod.example.com</code> 的 <code>VirtualService</code> 将会匹配。但是，带有主机 <code>example.com</code> 或 <code>newexample.com</code> 的 <code>VirtualService</code> 将不匹配。注意：仅可以引用暴露到网关命名空间的 <code>VirtualService</code>（如 <code>exportTo</code> 值为 <code>*</code>），私有配置（如 <code>exportTo</code> 设置为 <code>.</code>）将不可用</td> 
   <td>是</td> 
  </tr> 
  <tr> 
   <td><code>tls</code></td> 
   <td><code>TLSOptions</code></td> 
   <td>用于控制服务器行为的 TLS 相关的选项集。使用这些选项可以控制是否应将所有 http 请求都重定向到 https，以及要使用的 TLS 模式</td> 
   <td>否</td> 
  </tr> 
  <tr> 
   <td><code>defaultEndpoint</code></td> 
   <td><code>string</code></td> 
   <td>默认情况下，应将流量转发到的 <code>loopback ip endpoint</code> 或 <code>Unix Domain Socket</code>。格式应为 <code>127.0.0.1:port</code> 或 <code>unix:///path/to/socket</code> 或 <code>unix://@foobar</code>（Linux抽象命名空间）</td> 
   <td>否</td> 
  </tr> 
 </tbody> 
</table>

--------------------

### Server.TLSOptions ###

<table> 
 <thead> 
  <tr> 
   <th>字段</th> 
   <th>类型</th> 
   <th>描述</th> 
   <th>是否必需</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td><code>httpsRedirect</code></td> 
   <td><code>bool</code></td> 
   <td>如果设置为 true，负载平衡器将为所有 HTTP 连接发送301重定向，要求客户端使用 HTTPS</td> 
   <td>否</td> 
  </tr> 
  <tr> 
   <td><code>mode</code></td> 
   <td><code>TLSmode</code></td> 
   <td>（可选）表示是否使用 TLS 保护与该端口的连接。此字段的值确定如何启用 TLS</td> 
   <td>否</td> 
  </tr> 
  <tr> 
   <td><code>serverCertificate</code></td> 
   <td><code>string</code></td> 
   <td>要求 <code>mode</code> 为 <code>SIMPLE</code> 或 <code>MUTUAL</code>。存放要使用的服务器端 TLS 证书文件的路径</td> 
   <td>否</td> 
  </tr> 
  <tr> 
   <td><code>privateKey</code></td> 
   <td><code>string</code></td> 
   <td>要求 <code>mode</code> 为 <code>SIMPLE</code> 或 <code>MUTUAL</code>。存放服务器私钥文件的路径</td> 
   <td>否</td> 
  </tr> 
  <tr> 
   <td><code>caCertificates</code></td> 
   <td><code>string</code></td> 
   <td>要求 <code>mode</code> 为 <code>MUTUAL</code>。存放用于验证提供的客户端证书的根证书文件的路径</td> 
   <td>否</td> 
  </tr> 
  <tr> 
   <td><code>credentialName</code></td> 
   <td><code>string</code></td> 
   <td><code>credentialName</code> 表示可用于标识 <code>serverCertificate</code> 和 <code>privateKey</code> 的唯一标识符。带有后缀 <code>-cacert</code> 的 <code>credentialName</code> 用于标识与此服务器关联的 <code>CaCertificates</code>。能够从远程证书存储库（如 <code>Kubernetes secrets</code>）中获取证书的网关工作负载将被配置为使用 <code>credentialName</code> 来检索 <code>serverCertificate</code> 和 <code>privateKey</code>，而不是使用上面指定的文件系统路径。如果使用双向 TLS，则网关工作负载实例将使用 <code>credentialName-cacert</code> 检索 <code>CaCertificates</code>。<code>credentialName</code> 的语义取决于平台。在 Kubernetes 中，默认 Istio 提供的证书服务器期望 <code>credentialName</code> 与 保存服务器证书、私钥 和 CA 证书（如果使用双向 TLS）的 <code>Kubernetes secrets</code> 的名称匹配。在网关的代理中设置 <code>ISTIO_META_USER_SDS</code> 元数据变量，以启用动态证书获取功能</td> 
   <td>否</td> 
  </tr> 
  <tr> 
   <td><code>subjectAltNames</code></td> 
   <td><code>string[]</code></td> 
   <td>用于验证客户端提供的证书中的主题身份的备用名称列表</td> 
   <td>否</td> 
  </tr> 
  <tr> 
   <td><code>verifyCertificateSpki</code></td> 
   <td><code>string[]</code></td> 
   <td>授权客户端证书的 SKPI 的 base64 编码的 SHA-256 哈希值的可选列表。注意：如果同时指定了 <code>verifyCertificateHash</code> 和 <code>verifyCertificateSpki</code>，则与其中任何一个值匹配的哈希都将导致证书被接受</td> 
   <td>否</td> 
  </tr> 
  <tr> 
   <td><code>verifyCertificateHash</code></td> 
   <td><code>string[]</code></td> 
   <td>授权客户端证书的十六进制编码 SHA-256 哈希值的可选列表。简单格式和冒号分隔格式都是可以的。注意：如果同时指定了 <code>verifyCertificateHash</code> 和 <code>verifyCertificateSpki</code>，则与其中任何一个值匹配的哈希都将导致证书被接受</td> 
   <td>否</td> 
  </tr> 
  <tr> 
   <td><code>minProtocolVersion</code></td> 
   <td><code>TLSProtocol</code></td> 
   <td>（可选）最低 TLS 协议版本</td> 
   <td>否</td> 
  </tr> 
  <tr> 
   <td><code>maxProtocolVersion</code></td> 
   <td><code>TLSProtocol</code></td> 
   <td>（可选）最高 TLS 协议版本</td> 
   <td>否</td> 
  </tr> 
  <tr> 
   <td><code>cipherSuites</code></td> 
   <td><code>string[]</code></td> 
   <td>（可选）如果指定，则仅支持指定的密码列表。否则，默认为 Envoy 支持的默认密码列表</td> 
   <td>否</td> 
  </tr> 
 </tbody> 
</table>

--------------------

### Server.TLSOptions.TLSProtocol ###

TLS 协议版本。

<table> 
 <thead> 
  <tr> 
   <th>名称</th> 
   <th>描述</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td><code>TLS_AUTO</code></td> 
   <td>自动选择最佳的 TLS 版本</td> 
  </tr> 
  <tr> 
   <td><code>TLSV1_0</code></td> 
   <td>TLS 1.0 版本</td> 
  </tr> 
  <tr> 
   <td><code>TLSV1_1</code></td> 
   <td>TLS 1.1 版本</td> 
  </tr> 
  <tr> 
   <td><code>TLSV1_2</code></td> 
   <td>TLS 1.2 版本</td> 
  </tr> 
  <tr> 
   <td><code>TLSV1_3</code></td> 
   <td>TLS 1.3 版本</td> 
  </tr> 
 </tbody> 
</table>

--------------------

### Server.TLSOptions.TLSmode ###

代理启用的 TLS 模式。

<table> 
 <thead> 
  <tr> 
   <th>名称</th> 
   <th>描述</th> 
  </tr> 
 </thead> 
 <tbody> 
  <tr> 
   <td><code>PASSTHROUGH</code></td> 
   <td>客户端提供的 SNI 字符串将用作 <code>VirtualService</code> TLS 路由中的匹配条件，以从服务注册表中确定目标服务</td> 
  </tr> 
  <tr> 
   <td><code>SIMPLE</code></td> 
   <td>使用标准 TLS 保护连接</td> 
  </tr> 
  <tr> 
   <td><code>MUTUAL</code></td> 
   <td>通过提供服务器证书进行身份验证，使用双向 TLS 来保护到下游的连接</td> 
  </tr> 
  <tr> 
   <td><code>AUTO_PASSTHROUGH</code></td> 
   <td>与 <code>PASSTHROUGH</code> 模式相似，不同的是，使用此 TLS 模式的服务器不需要关联的 <code>VirtualService</code> 将 SNI 值映射到注册表中的服务。目的地详细信息（如 <code>service/subset/port</code>）被编码在 SNI 值中，代理将转发到SNI值指定的上游（Envoy）集群（一组 <code>endpoints</code>）。该服务器通常用于在不同的 L3 网络中提供服务之间的连接，否则它们各自的 <code>endpoints</code> 之间没有直接连接。使用此模式假定源和目标都使用 Istio mTLS 来保护流量</td> 
  </tr> 
  <tr> 
   <td><code>ISTIO_MUTUAL</code></td> 
   <td>通过提供服务器证书进行身份验证，使用双向 TLS 保护来自下游的连接。与 <code>MUTUAL</code> 模式相比，此模式使用 Istio 自动生成的证书（代表网关工作负载身份）进行 mTLS 认证。使用此模式时，<code>TLSOptions</code> 中的所有其他字段均应为空</td> 
  </tr> 
 </tbody> 
</table>

--------------------